Ratgeber/Kosten
Updates, Plugins, Server: Was die Pflege einer klassischen Website wirklich kostet
WordPress, Joomla, TYPO3 oder Contao wirken günstig, weil die Software nichts kostet. Bezahlt wird später: mit Updates, Lizenzen, Server und der Zeit, die jemand dafür aufbringen muss. Ein ehrlicher Überblick, was dauerhaft anfällt.
Viele Websites von Betrieben laufen auf WordPress, Joomla, TYPO3, Contao oder einem selbst programmierten PHP-System. Die Software ist kostenlos, und die Seite war schnell aufgesetzt. Was beim Kauf selten jemand sagt: Ab dem ersten Tag braucht so eine Website Pflege, und zwar dauerhaft.
Woraus eine klassische Website besteht
Stellen Sie sich Ihre Website wie ein Haus aus vielen Fertigteilen vor. Jedes Teil kommt von einem anderen Hersteller, und jeder bringt in eigenem Takt Verbesserungen heraus. Damit das Haus dicht bleibt, muss jemand alle Teile im Blick behalten.
| Baustein | Was es ist | Wer es aktualisiert |
|---|---|---|
| CMS-Kern | WordPress, Joomla, TYPO3 oder Contao selbst | Die Entwickler des CMS, mehrmals im Jahr |
| Plugins | Kontaktformular, Galerie, Cookie-Banner, SEO, Page-Builder | Jeweils ein anderer Hersteller, in eigenem Takt |
| Theme | Das Design der Website, oft gekauft | Der Theme-Anbieter, solange es ihn gibt |
| PHP und Server | Die Programmiersprache und der Rechner, auf dem alles läuft | Ihr Hoster, teils erst auf Ihren Auftrag |
Was ist das Problem?
Jedes dieser Teile kann eine Sicherheitslücke haben. Die meisten finden sich nicht im CMS, sondern in den Erweiterungen: Für 2024 zählte der Sicherheitsdienst Patchstack 7.966 neu gemeldete Lücken im WordPress-Umfeld, 96 Prozent davon in Plugins. Bei einer typischen Website mit 15, 20 oder mehr Plugins kommt so ständig etwas zusammen.
Updates einspielen ist dabei der kleinere Teil. Schwieriger ist, dass ein Update etwas anderes kaputt machen kann: Das Formular sendet nicht mehr, die Galerie bleibt leer, im schlimmsten Fall zeigt die Seite nur noch eine weiße Fläche. Deshalb gehört zu jedem Update ein Test, und genau der fällt im Alltag gern aus.
Was laufend anfällt
| Posten | Was dahintersteckt |
|---|---|
| Hosting | Server oder Hosting-Paket, je nach Leistung von wenigen bis mehreren Dutzend Euro im Monat |
| Lizenzen | Premium-Plugins und Themes laufen meist im Jahresabo. Elementor Pro etwa kostet in der kleinsten Lizenz rund 60 US-Dollar pro Jahr, für eine einzige Website. |
| Updates mit Test | Kern, Plugins und Theme regelmäßig aktualisieren, danach die wichtigsten Seiten und das Formular prüfen |
| Sicherungen | Backups, die sich im Ernstfall auch wirklich zurückspielen lassen |
| PHP-Wechsel | Alle paar Jahre muss der Server auf eine neue PHP-Version. Alte Plugins laufen dann oft nicht mehr. |
| Ernstfall | Wird eine Lücke ausgenutzt: Bereinigung, neue Zugänge, erneute Prüfung durch Google. Das kostet ein Vielfaches eines Updates. |
Ob Sie das selbst erledigen oder eine Agentur bezahlen: Bezahlt wird immer, mit Geld oder mit Zeit. Und ein Wartungsvertrag schützt nur, wenn darin auch wirklich getestet und nicht nur auf „Aktualisieren“ geklickt wird.
Was passiert, wenn niemand pflegt
Meist geht es eine Weile gut. Bis eine Lücke bekannt wird, die automatisiert ausgenutzt wird. Wie schnell das gehen kann, haben wir im Oktober 2026 bei PHP2Shell beschrieben: Erste Angriffsversuche gab es dort schon vor dem offiziellen Update. Die Folgen reichen von versteckten Spam-Links über Warnungen bei Google bis zu abgegriffenen Formulardaten.
Nicht das Update ist teuer. Teuer ist der Tag, an dem es zu spät kommt.
Wie es einfacher geht
Der größte Hebel ist eine Website mit weniger Bausteinen. Je weniger fremde Teile, desto weniger muss jemand im Blick behalten, und desto weniger kann beim nächsten Update kaputtgehen.
Klassisches CMS
- CMS, Theme und oft 20 oder mehr Plugins von verschiedenen Herstellern
- Jahreslizenzen für Premium-Erweiterungen
- Jedes Update kann etwas anderes brechen
- Zuständigkeit oft unklar
Schlank gebaut
- Individuell programmiert, ohne Theme und ohne Plugins
- Keine Lizenzgebühren für Erweiterungen
- Wenige, bekannte Bausteine, die sich sicher aktualisieren lassen
- Klar geregelt, wer sich um Updates kümmert
So bauen wir unsere Websites. Texte, Bilder und Leistungen pflegen Sie trotzdem selbst, über ein modernes Redaktionssystem (Payload CMS). Die Website läuft auf einem Server, der auf Ihren Namen läuft, und Sie wissen, wer sich um Updates kümmert.
Mehr erfahrenInhalte selbst pflegen, ohne Plugins: So funktioniert esQuellen
- Patchstack: State of WordPress Security in 2025, 2025. Auswertung der 2024 gemeldeten Sicherheitslücken im WordPress-Umfeld
- Elementor: Elementor Pro: Preise, abgerufen am 25. Oktober 2026
- B.I.G. Media Consulting: PHP2Shell: Warum jetzt Tausende Firmenwebsites gefährdet sind, 23. Oktober 2026
